Politique de confidentialité

Cette politique explique quelles données personnelles Painting Puffin collecte, pourquoi, combien de temps nous les conservons, qui d’autre les reçoit, et ce que vous pouvez nous demander. Elle couvre le site web paintingpuffin.com, le service de compte id.paintingpuffin.com, la bibliothèque library.paintingpuffin.com, le service de licences license.paintingpuffin.com, et l’application de bureau Painting Puffin Studio.

En bref : nous collectons ce dont nous avons besoin pour faire fonctionner votre compte, votre licence et la bibliothèque, et pour en assurer la sécurité. Nous ne vendons pas de données et nous n’affichons pas de publicité. Concernant votre travail dans l’application :

• L’intégration Painting Puffin ne téléverse pas vos fichiers de projet. Painting Puffin Studio stocke vos fichiers de projet sur votre ordinateur et ne téléverse pas le fichier de projet lui-même vers nos serveurs ou vers un service d’IA. Certaines informations relatives au projet sont transmises à Anthropic si vous choisissez de démarrer une session Claude (section 5). Votre propre configuration de Claude Code ou vos extensions peuvent fournir des capacités supplémentaires, notamment la possibilité d’accéder à d’autres fichiers ou de les transmettre.
• Les nœuds d’IA intégrés s’exécutent sur votre ordinateur et n’envoient vos images à aucun service d’IA extérieur.
• Une fonctionnalité facultative envoie des informations sur un projet, jamais le fichier du projet : si vous démarrez une session Claude dans un projet, l’application envoie des informations sur ce projet à Anthropic, et des images de votre travail uniquement si vous cochez aussi une case distincte (section 5). Dans sa configuration par défaut, l’application ne donne pas à Claude d’outils permettant d’ouvrir des fichiers sur votre ordinateur.

1. Qui est responsable

Painting Puffin est exploité par Alexander Sebag, personne physique établie à Gif-sur-Yvette (France), qui est le responsable du traitement de vos données. Pour toute question concernant vos données, écrivez à support@paintingpuffin.com. Notre adresse postale et les autres informations que la loi française impose à un éditeur de site web figurent dans nos mentions légales. Nous n’avons pas désigné de délégué à la protection des données (DPO). Après avoir examiné les critères de l’article 37 du RGPD, nous estimons que nos activités ne nous imposent pas actuellement d’en désigner un.

Transmission à une société. Une société, Painting Puffin EURL, est en cours d’immatriculation pour exploiter le service. Une fois qu’elle sera immatriculée, Alexander Sebag lui transférera l’ensemble de l’activité : les comptes, la liste des membres fondateurs, les licences, les abonnements et les enregistrements décrits dans cette politique, afin que le service que vous utilisez se poursuive sans interruption. Ce transfert repose sur notre intérêt légitime, et le vôtre, à cette continuité. Nous avons évalué, et documenté, pourquoi le transfert est nécessaire à cette continuité et pourquoi il ne prévaut pas sur vos intérêts : la société fournira les mêmes services, aux mêmes personnes, pour les mêmes finalités. En pratique :

• nous vous en informerons par e-mail au moins 30 jours avant le transfert, en indiquant la dénomination complète de la société, son siège social et son numéro d’immatriculation, et nous publierons une nouvelle version de cette politique qui la désigne. Le transfert n’aura pas lieu avant la fin de ce délai ;
• avant le transfert, vous pouvez vous opposer au transfert, retirer tout consentement que vous avez donné, ou nous demander de supprimer votre compte ou votre inscription sur la liste des membres fondateurs. Si vous vous opposez au transfert, nous ne transférerons pas vos données personnelles, sauf si des motifs légitimes impérieux nous permettent de le faire. Si vous retirez un consentement ou demandez une suppression, nous cesserons le traitement concerné ou supprimerons les données concernées, comme le décrit cette politique. Les informations que nous sommes en droit de conserver pour une finalité distincte, comme l’enregistrement de blocage minimal décrit à la section 2, sont traitées sur cette base distincte ;
• nous transférons les enregistrements de ce que vous avez accepté et de ce à quoi vous avez consenti afin que la société puisse conserver la preuve de ces choix passés. La société ne poursuivra les traitements fondés sur le consentement que lorsque le consentement initial reste valable pour ces traitements ; lorsqu’un nouveau consentement est nécessaire, elle vous le demandera séparément. La société utilisera les données personnelles transférées uniquement pour les finalités décrites dans cette politique, sauf si elle vous informe d’une nouvelle finalité et, lorsque cela est nécessaire, recueille votre consentement ou établit une autre base juridique avant de la mettre en œuvre ;
• votre contrat avec nous (nos conditions d’utilisation) est une question distincte, que cette politique ne règle pas : il ne passe à la société que de la manière prévue par nos conditions d’utilisation, avec une notification écrite qui vous est adressée, ou sinon uniquement avec votre accord ;
• à compter de la date du transfert, la société est responsable du traitement ; Alexander Sebag reste responsable de ce qui a eu lieu avant.

2. La liste des membres fondateurs

Sur paintingpuffin.com, vous pouvez laisser votre adresse e-mail pour que nous vous prévenions de l’ouverture des inscriptions au programme de membre fondateur. Si vous le faites, nous enregistrons :

• votre adresse e-mail, et une empreinte pseudonyme de celle-ci (section 6) utilisée pour éviter les doublons ;
• la date et l’heure de votre accord, et la version de cette politique en vigueur à ce moment ;
• la langue de votre navigateur, la page que vous avez utilisée, et votre pays.

Ce à quoi nous l’utilisons : uniquement pour vous informer de l’ouverture des inscriptions au programme de membre fondateur, et de ses conditions. L’inscription sur cette liste ne vous abonne pas à notre lettre d’information : c’est un choix distinct, que vous faites une fois, et vous pouvez ensuite vous désabonner à tout moment, depuis un lien présent dans chaque lettre d’information ou depuis votre compte.

Votre pays est déterminé sur notre propre serveur à partir de votre adresse IP, au moyen d’une base de données stockée sur ce serveur (IP to Country Lite de DB-IP) ; votre adresse IP n’est transmise à personne à cette fin. L’adresse IP sert aussi à limiter les tentatives répétées et à la vérification anti-robot (section 8). Elle n’est jamais enregistrée dans la liste elle-même.

Base juridique : votre consentement, donné en cochant la case.

Durée : votre inscription reste sur la liste jusqu’à la clôture des inscriptions au programme de membre fondateur, et en tout état de cause au plus 12 mois après votre inscription. Si vous soumettez à nouveau votre adresse alors que votre inscription est encore active, ou après son expiration, cela vaut nouveau consentement et fait repartir ces 12 mois. Si vous avez retiré votre consentement, soumettre à nouveau le formulaire n’annule pas ce retrait (voir ci-dessus). À l’expiration, votre inscription est réduite à un enregistrement minimal (section 9).

Retirer votre consentement et supprimer votre inscription sont deux choses différentes.

• Retirer votre consentement met fin immédiatement à tout contact. Vous pouvez retirer votre consentement au moyen du formulaire de retrait disponible sur notre site ou en nous écrivant. Ce formulaire est aussi simple à utiliser que celui qui vous a permis de vous inscrire sur la liste. Nous effaçons alors votre adresse e-mail et les autres informations, et ne conservons qu’un enregistrement de blocage : l’empreinte de votre adresse et les dates de votre accord et de votre retrait. Sa seule utilité est de nous empêcher de vous contacter à nouveau, ce qui relève de notre intérêt légitime et du vôtre, pendant une période de blocage de trois ans. Pendant ces trois ans, soumettre à nouveau le formulaire n’annule pas le retrait : pour vous réinscrire, écrivez-nous. Au bout de trois ans, l’enregistrement de blocage est supprimé (section 9), et une nouvelle soumission de votre adresse vaut alors nouveau consentement.
• Supprimer votre inscription (en nous écrivant) l’efface entièrement, enregistrement de blocage compris. Si vous laissez de nouveau votre adresse plus tard, cela vaut nouveau consentement.

Nous n’envoyons pas encore d’e-mails, si bien que personne n’a été invité à confirmer son adresse. Lorsque nous commencerons, nous demanderons à chaque personne inscrite sur la liste de la confirmer avant de lui écrire à tout autre sujet.

3. Votre compte

Un seul compte, géré par id.paintingpuffin.com, vous connecte à tous les services Painting Puffin.

• Identité : votre adresse e-mail, votre nom si vous en indiquez un et, si vous choisissez un mot de passe, un hachage bcrypt de celui-ci (une méthode conçue pour rendre les mots de passe très difficiles à retrouver).
• « Continue with Google » (continuer avec Google) : Google nous communique votre nom, votre adresse e-mail et votre photo de profil, et nous fournit un identifiant de votre compte Google ainsi que des jetons de connexion, que nous conservons uniquement pour que la connexion avec Google fonctionne. Nous ne recevons jamais votre mot de passe Google.
• Sessions : pour chaque appareil connecté, le moment où la session a commencé et celui où elle prend fin. Pour les connexions avec mot de passe, également la description du navigateur ou de l’application et une empreinte pseudonyme de l’adresse IP, afin que vous puissiez reconnaître vos sessions et y mettre fin. Une session dure 30 jours, sauf si vous y mettez fin plus tôt.
• Acceptation des conditions d’utilisation, et confirmation de la lecture de cette politique :la version des conditions d’utilisation que vous avez acceptée, la version de cette politique qui vous a été présentée et dont vous avez confirmé la lecture, quand, dans quelle langue, de quelle manière (à l’inscription ou lors d’une demande ultérieure), et le réseau depuis lequel cela a été enregistré : votre adresse IP dont la dernière partie est supprimée (pour une adresse IPv4, le dernier de ses quatre nombres, par exemple 203.0.113.0 au lieu de 203.0.113.7 ; pour une adresse IPv6, tout ce qui suit ses trois premiers groupes), ce qui indique approximativement d’où cela provient sans désigner une connexion précise. Nous ne conservons jamais l’adresse complète dans cet enregistrement. Il constitue notre preuve de ce qui a été convenu en cas de contestation ; aucune page de nos services ne l’affiche.
• Essais et formules : les essais gratuits que vous avez commencés, et les formules et postes rattachés à votre compte ou à votre organisation. Une empreinte pseudonyme de votre adresse e-mail enregistre qu’un essai a été utilisé (section 9).
• Organisations : si vous faites partie d’une équipe, ses membres, les adresses invitées à la rejoindre (une invitation dure 30 jours), et un journal des modifications de ses paramètres. Lorsqu’un administrateur d’organisation nous communique des informations concernant une autre personne, par exemple une adresse e-mail afin de l’inviter à rejoindre l’organisation, nous utilisons ces informations pour gérer l’invitation et l’organisation. Nous communiquons à cette personne les informations relatives au traitement de ses données lorsque la loi l’exige.

Base juridique : le contrat qui nous lie, pour le compte et les services auxquels vous avez souscrit ; notre intérêt légitime à assurer la sécurité des services et à limiter chaque adresse à un seul essai gratuit ; et, pour les enregistrements d’acceptation et de confirmation de lecture, notre intérêt légitime à pouvoir prouver ce qui a été convenu.

Ce que vous devez fournir. Votre adresse e-mail est nécessaire pour créer un compte ; sans elle, nous ne pouvons pas fournir le service de compte. Votre nom est facultatif. Vous n’êtes pas obligé d’utiliser la connexion avec Google. Les informations envoyées à Anthropic sont facultatives et ne sont envoyées que si vous choisissez de démarrer une session Claude et y consentez. Une fois les formules payantes ouvertes, les informations demandées par le passage de commande de Polar (par exemple vos données de paiement et votre pays de facturation) sont nécessaires pour conclure un achat et respecter les obligations de facturation et fiscales ; sans elles, l’achat ne peut pas être conclu.

4. La bibliothèque

Lorsque vous utilisez library.paintingpuffin.com, nous enregistrons également :

• votre profil et vos préférences dans la bibliothèque (langue, devise, ainsi qu’un identifiant public et une biographie si vous les renseignez) ;
• une empreinte pseudonyme de l’adresse IP utilisée lors de votre inscription, pour détecter les nombreux comptes créés depuis un même endroit afin de profiter plusieurs fois des offres gratuites ;
• pour chaque session, la description du navigateur, afin que vous puissiez reconnaître vos sessions ;
• les images que vous avez téléchargées et à quel moment, pour appliquer le quota de téléchargements de votre formule ;
• les images et albums que vous téléversez, si vous utilisez le stockage en ligne personnel ;
• les demandes d’assistance que vous nous envoyez, et les notifications que nous vous affichons (la section 9 indique combien de temps chacune est conservée) ;
• les informations de facturation que vous saisissez (nom de la société, adresse postale, pays, numéro de TVA), une fois les formules payantes ouvertes. Elles sont supprimées avec votre compte ; nos enregistrements comptables de chaque vente sont conservés comme l’exige la loi (section 9).

Les membres ne peuvent pas encore publier d’images dans la bibliothèque publique. Avant que cela ne soit possible, nous publierons les conditions qui l’encadrent et une nouvelle version de cette politique.

Comment nous mesurons l’utilisation de la bibliothèque

Ce qui est enregistré. La bibliothèque mesure sa propre utilisation, sans cookies et sans aucune société extérieure. Pour chaque page que vous consultez, nous enregistrons la page (sans les identifiants contenus dans son adresse), le site d’où vous venez (son nom seulement), votre navigateur, votre système et votre type d’appareil, votre pays et votre fuseau horaire ; lorsque vous ouvrez une image, quelle image et quel album. Lorsqu’une recherche ne donne aucun résultat, nous enregistrons les mots recherchés, sans lien avec vous.

Comment les visites sont regroupées. Les visites sont regroupées sous une empreinte pseudonyme calculée à partir de votre adresse IP, de la description de votre navigateur et de la date, avec une clé secrète conservée sur notre serveur. Comme la date en fait partie, l’empreinte change chaque jour et les visites de jours différents ne peuvent pas être reliées par elle. Votre adresse IP elle-même n’est pas enregistrée. Ce n’est pas anonyme lorsque vous êtes connecté : la visite est alors également reliée à votre compte.

Combien de temps. Ces enregistrements de visites sont supprimés au bout de 90 jours. Ce que nous conservons ensuite, ce sont des totaux journaliers : des décomptes par page, site d’origine, navigateur, système, type d’appareil, pays, album et recherche sans résultat. Une valeur comptée moins de cinq fois dans une journée n’est pas conservée du tout, de sorte que les valeurs rares, comme une recherche inhabituelle, sont écartées. Ces totaux ne contiennent aucun compte, aucune empreinte et aucune adresse IP. Écarter les valeurs rares réduit le risque qu’un total renvoie à une personne, mais ne le supprime pas entièrement ; nous traitons donc ces totaux comme des statistiques à manier avec précaution, et non comme des données anonymes. Ils sont conservés 25 mois, le temps de comparer une même saison sur deux années, puis supprimés.

Pourquoi. Notre intérêt légitime à exploiter et à améliorer la bibliothèque : savoir quelles pages et quelles images sont utilisées, quelles recherches échouent afin que nous puissions ajouter les images manquantes, quels navigateurs et quels écrans nous devons prendre en charge, et de quelle capacité nous avons besoin. Le lien avec le compte nous permet de voir comment les membres connectés utilisent ce que comprend leur formule.

Votre choix. Vous pouvez vous y opposer à tout moment. Si vous êtes connecté, désactivez « include my visits in the usage statistics » (inclure mes visites dans les statistiques d’utilisation) sur la page de votre compte de la bibliothèque : nous cessons d’enregistrer vos visites et supprimons vos enregistrements existants. Que vous soyez connecté ou non, si votre navigateur envoie le signal Global Privacy Control (GPC), vos visites ne sont pas enregistrées. Vous pouvez aussi nous écrire. La bibliothèque est le seul de nos services qui mesure l’utilisation : le site web et le service de compte ne le font pas (section 7), et l’application de bureau n’a pas de télémétrie (section 5). Ce réglage et ce signal couvrent donc toute la mesure d’utilisation que nous effectuons.

Base juridique pour le reste de la bibliothèque : le contrat qui nous lie ; et notre intérêt légitime à prévenir les abus des offres gratuites.

5. L’application de bureau

Painting Puffin Studio fonctionne sur votre ordinateur. Vos projets, vos pinceaux et vos réglages y sont stockés. L’application n’a pas de télémétrie : elle ne rend pas compte de la façon dont vous l’utilisez, et elle n’envoie aucun rapport de plantage d’elle-même. Après un plantage, elle peut ouvrir pour vous un brouillon d’e-mail, que vous décidez d’envoyer ou non ; le fichier de plantage qu’il mentionne peut contenir des chemins de fichiers de votre ordinateur.

Elle ne contacte nos serveurs d’elle-même que pour deux choses :

• Recherche de mises à jour : peu après le lancement, puis une fois par jour, elle demande à notre service de licences si une nouvelle version existe, en envoyant votre système d’exploitation et votre canal de mise à jour. Vous pouvez désactiver cette fonction dans les préférences.
• Licence : lorsque vous vous connectez à votre compte dans l’application, elle enregistre cet ordinateur auprès de notre service de licences : un numéro d’installation aléatoire, le nom de votre ordinateur, votre système d’exploitation, la version de l’application, et un hachage dérivé de l’identifiant système de votre ordinateur, conçu pour ne pas révéler cet identifiant. Tant que vous êtes connecté, elle confirme la licence environ toutes les dix minutes, et libère votre poste à sa fermeture. Si vous partagez des postes au sein d’une organisation, les autres membres peuvent voir le nom de votre ordinateur lorsqu’un poste passe d’un ordinateur à un autre.

D’autres connexions n’ont lieu que lorsque vous les demandez :

• La bibliothèque dans l’application est le site web de la bibliothèque affiché dans un navigateur intégré, qui conserve ses propres cookies et son propre stockage dans votre dossier utilisateur sur votre ordinateur ; la section 4 s’applique.
• Téléchargement de modèles d’IA : uniquement lorsque vous cliquez pour télécharger un modèle et acceptez sa licence, l’application télécharge ses fichiers, et pour certains modèles le programme qui les exécute, depuis notre propre serveur de téléchargement, models.paintingpuffin.com (stocké dans l’Union européenne par Cloudflare, section 8). Ce serveur reçoit ce que tout téléchargement lui fournit : votre adresse IP, le fichier demandé, et « Painting Puffin Studio » comme nom du programme. L’application n’envoie aucun identifiant de compte, de licence ou d’ordinateur. Nous ne conservons aucune trace de ces téléchargements, ni dans l’application ni de notre côté ; Cloudflare traite les informations de requête nécessaires pour distribuer les fichiers (section 8). L’application ne télécharge jamais de fichiers de modèles auprès des éditeurs d’origine des modèles. Le texte de la licence d’un modèle s’ouvre dans votre propre navigateur web, uniquement si vous cliquez sur son lien, et il est alors chargé depuis le site de l’éditeur (par exemple Hugging Face ou GitHub) comme toute page que vous visitez. Les nœuds d’IA s’exécutent ensuite sur votre ordinateur.
• « Report a problem » (signaler un problème) : cette fonction crée un fichier sur votre ordinateur et ouvre votre propre logiciel de messagerie, de sorte que c’est vous qui décidez de nous l’envoyer ou non. Le fichier contient la version et le numéro de compilation de l’application, votre système d’exploitation, votre carte graphique, votre pilote graphique et votre échelle d’affichage, le fait que vous soyez connecté ou non et les fonctionnalités que comprend votre formule, la description que vous rédigez et, sauf si vous décochez cette option, les journaux récents de l’application, dans lesquels votre dossier utilisateur est masqué. Il ne contient jamais de projet.

Sessions Claude

L’application peut fonctionner avec Claude, l’assistant d’IA d’Anthropic, par l’intermédiaire du programme Claude Code installé sur votre ordinateur et connecté à votre propre compte Anthropic.

• Inactif tant que vous ne démarrez pas de session. Rien n’est envoyé tant que vous n’avez pas démarré une session Claude dans un projet et donné votre accord pour ce projet. L’ouverture d’un autre projet met fin à la session, et l’application ne donne jamais à Claude accès à un projet pour lequel vous n’avez pas donné votre accord. L’administrateur de votre organisation peut également désactiver la fonctionnalité. Votre choix est mémorisé pour ce projet jusqu’à ce que vous le retiriez. Nous vous le redemandons si les informations mises à disposition ou les finalités de l’intégration changent de manière importante.
• Ce qui est envoyé : vos demandes ; les nœuds du projet (leurs noms, types, réglages, positions et la façon dont ils sont reliés), ce qui est sélectionné et la partie du projet que vous consultez (les réglages peuvent comprendre les noms et chemins de dossier des fichiers qu’un nœud lit ou écrit, comme les images qu’il utilise ou le dossier où un nœud Export enregistre, et le texte que vous avez saisi dans un nœud) ; le nom du projet, le chemin de son dossier et ses informations générales (comme la taille du canevas, l’espace colorimétrique, le nombre de nœuds, le numéro de version et la présence de modifications non enregistrées) ; la version de l’application et votre système d’exploitation. Les outils de l’intégration Painting Puffin ne transmettent pas le fichier du projet lui-même, vos informations de connexion à la bibliothèque ni vos pinceaux. Votre propre configuration de Claude Code, vos extensions ou les actions que vous effectuez dans la session peuvent néanmoins accéder à d’autres fichiers ou transmettre des informations en dehors de l’intégration Painting Puffin, comme expliqué ci-dessous.
• Ce à quoi Claude peut accéder. L’application démarre Claude Code en désactivant ses propres outils de lecture de fichiers, d’exécution de commandes et de navigation sur le web, et ne le relie qu’aux outils de l’application, qui fournissent les informations énumérées ci-dessus. Elle empêche aussi Claude Code de charger les fichiers de notes (nommés CLAUDE.md) des dossiers qui entourent votre projet, ainsi que ses propres notes de mémoire. Dans cette configuration, l’application ne donne à Claude aucun outil permettant d’ouvrir des fichiers sur votre ordinateur. Claude Code utilise aussi votre propre configuration de Claude Code (par exemple vos instructions personnelles, ou des extensions que vous y avez installées), et tout ce que vous tapez, collez ou joignez vous-même dans la session, y compris un fichier que vous joignez avec « @ » ou le résultat d’une commande que vous y exécutez, est également envoyé à Anthropic. Ces capacités supplémentaires proviennent de votre propre configuration de Claude Code et de vos extensions, ou d’actions que vous effectuez dans la session. Elles ne font pas partie des outils fournis par Painting Puffin, et les restrictions décrites ci-dessus ne contrôlent pas ce que ces outils supplémentaires peuvent faire. Nous vous conseillons de vérifier votre configuration et vos extensions avant de les utiliser avec un projet.
• Images, uniquement si vous cochez la case. Des aperçus de vos images et des images de la fenêtre de l’application ne sont envoyés que si vous cochez « allow previews and screenshots » (autoriser les aperçus et captures d’écran), case qui est décochée au départ. Les sessions Claude fonctionnent sans elle. L’envoi d’images repose sur ce consentement distinct et facultatif, que vous pouvez retirer à lui seul, en décochant la case, sans retirer votre consentement à la session.
• Qui est responsable de quoi. Nous décidons de ce que l’application met à la disposition de Claude, des types de données qu’elle peut envoyer, du moment où elle les envoie et des modalités selon lesquelles vous donnez votre accord. Nous sommes donc responsables de la collecte de ces données et de leur transmission, qui reposent sur votre consentement, donné projet par projet, même si les données vont directement de votre ordinateur à Anthropic et que nous n’en recevons rien. Après réception des informations, Anthropic détermine de manière indépendante les finalités et les moyens de ses traitements, sous réserve des conditions et paramètres de confidentialité applicables à votre compte Anthropic (pour les utilisateurs en Europe, Anthropic Ireland, Limited). Anthropic est donc un responsable du traitement distinct pour ces traitements.
• Les comptes Claude concernés. Cette section décrit Claude Code connecté à un compte Claude personnel (Free, Pro ou Max). Si vous connectez Claude Code au compte d’une organisation (par exemple Claude for Work) ou à une clé d’API, Anthropic traite les données selon ses conditions commerciales pour le compte de cette organisation ou du titulaire de la clé, dont les propres règles s’appliquent alors. Si vous avez configuré Claude Code pour accéder à Claude par l’intermédiaire d’un fournisseur de cloud (par exemple Amazon Bedrock ou Google Cloud Vertex AI), les informations sont alors envoyées à ce fournisseur, selon votre propre contrat avec lui. Dans tous les cas, ce que Painting Puffin envoie, et notre responsabilité à cet égard, restent tels que décrits ici.
• Les règles propres à Anthropic. Anthropic décide de la durée pendant laquelle elle conserve les informations et de la possibilité de les utiliser pour améliorer ses modèles, selon les conditions et les paramètres de confidentialité qui s’appliquent à votre compte Anthropic. Ses règles peuvent varier selon votre compte, vos paramètres, les examens de sécurité, les retours que vous donnez et d’éventuelles options distinctes que vous avez acceptées. Consultez la politique de confidentialité actuelle d’Anthropic (anthropic.com/legal/privacy) et les informations sur la conservation des données de son centre de confidentialité (privacy.anthropic.com) pour en savoir plus. Anthropic indique transférer les données vers ses serveurs aux États-Unis au moyen des clauses contractuelles types de la Commission européenne.
• Arrêter : mettez fin à la session ; pour retirer votre accord pour un projet, utilisez « Forget consent » (oublier le consentement) dans les réglages Claude du projet (« Manage Project », c’est-à-dire gérer le projet). L’un comme l’autre prend effet immédiatement, pour tout ce que Claude demande ensuite. Décocher la case des images met fin à l’envoi des aperçus et des captures d’écran. Retirer votre consentement au moyen de « Forget consent » met fin à toute nouvelle transmission d’informations sur le projet par l’intermédiaire de l’intégration Painting Puffin. Aucune de ces actions ne permet de récupérer les informations déjà envoyées à Anthropic ni ne lui demande de les supprimer. Les informations déjà envoyées restent soumises aux règles de conservation et de suppression d’Anthropic ainsi qu’aux paramètres de votre compte Anthropic. Pour déconnecter votre compte Anthropic, déconnectez-vous de Claude Code.

Base juridique : le contrat qui nous lie, pour les mises à jour, la gestion des licences et le téléchargement des modèles ; et notre intérêt légitime à prévenir l’utilisation abusive des licences. À cette fin, le service de licences tient un journal de sécurité des connexions et des changements de poste, comprenant l’adresse IP de chaque connexion (section 9).

Pour les sessions Claude, nous nous fondons sur votre consentement, donné séparément pour chaque projet. Vous pouvez le retirer à tout moment au moyen de « Forget consent » (oublier le consentement) dans les réglages Claude du projet. Ce retrait ne remet pas en cause les traitements effectués avant celui-ci.

6. Adresses IP et empreintes pseudonymes

Une empreinte pseudonyme, dans cette politique, est un hachage SHA-256 de la donnée d’origine (une adresse e-mail ou une adresse IP) combinée à une valeur secrète conservée sur notre serveur. La donnée d’origine ne peut pas simplement être retrouvée à partir du résultat. Cette empreinte reste une donnée personnelle, car une personne détenant la valeur secrète pourrait calculer l’empreinte d’une adresse connue et la comparer. Nous l’utilisons partout où nous devons reconnaître quelque chose sans conserver la donnée d’origine.

Votre adresse IP est traitée de sept manières différentes, selon la finalité :

7. Cookies et stockage similaire

La loi française (article 82 de la loi Informatique et Libertés) impose un consentement avant qu’un site web n’enregistre des informations sur votre appareil ou n’y lise des informations, sauf lorsque c’est strictement nécessaire à un service que vous avez expressément demandé. Telle que la CNIL l’applique, cette exception couvre par exemple la connexion, la sécurité, et la mémorisation d’un choix d’interface que vous faites lorsque cela fait partie de ce que l’on attend du service. Nous avons vérifié chaque élément utilisé par nos sites web au regard de ce critère, un par un, ci-dessous : selon notre évaluation documentée de chacun d’eux, aucun ne nécessite de consentement, et le tableau en donne la raison pour chacun. Aucun n’est utilisé pour la publicité, pour mesurer les visites ou pour vous suivre sur d’autres sites, et nos sites web ne chargent aucun script extérieur, à l’exception de la vérification anti-robot de Cloudflare sur les formulaires qui l’utilisent (section 8).

Les messages que vous fermez dans la bibliothèque (les annonces, y compris les avis de service comme une maintenance prévue, les messages promotionnels et le bandeau d’essai) ne sont pas enregistrés dans votre navigateur : leur fermeture n’est mémorisée que tant que la page reste ouverte.

La bibliothèque dispose d’un programme de parrainage qui n’est pas actif. S’il est mis en service un jour, ouvrir le lien de parrainage d’une personne déposerait un cookie pendant 30 jours au plus, afin que cette personne puisse être créditée si vous vous inscrivez. Ce cookie n’est pas strictement nécessaire : avant le lancement du programme, nous vous demanderons donc votre consentement à ce cookie et publierons une nouvelle version de cette politique.

paintingpuffin.com et id.paintingpuffin.com ne mesurent pas du tout les visites. Si cela change, nous publierons d’abord une nouvelle version de cette politique.

8. Qui d’autre reçoit des données

Certains de nos prestataires sont des sous-traitants : ils traitent les données uniquement sur nos instructions, en vertu d’un contrat qui les oblige à la sécurité, à la confidentialité et à la suppression des données, comme l’exige le RGPD. D’autres sont des responsables du traitement distincts : ils décident de l’usage qu’ils font des données, selon leurs propres politiques de confidentialité. Lorsque nous transférons des données personnelles à un prestataire situé aux États-Unis, en tant que responsable du traitement ou en tant que sous-traitant, le transfert est couvert par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque la société américaine qui reçoit les données est couverte par une certification (les sociétés certifiées, et les filiales que couvre chaque certification, sont répertoriées sur dataprivacyframework.gov), ou par les clauses contractuelles types de la Commission européenne, selon le cas ; les modalités applicables à chaque prestataire sont décrites ci-dessous. Nous avons vérifié chaque destinataire au regard de ces registres le 2026-11-05. Vous pouvez nous demander une copie des clauses applicables. Certains services auxquels vous vous connectez de votre propre initiative depuis votre ordinateur peuvent effectuer leurs propres transferts internationaux, sous leur propre responsabilité. Cela ne s’applique pas à l’intégration de Painting Puffin avec Anthropic : comme l’explique la section 5, nous décidons de ce que l’intégration met à disposition et envoie, et nous sommes responsables de cette communication.

Prestataires que nous utilisons aujourd’hui

• OVHcloud (OVH SAS, France), sous-traitant : nous loue le serveur dédié, situé en France, qui fait fonctionner nos sites web, nos comptes, notre bibliothèque et notre service de licences, et qui héberge leurs bases de données et les sauvegardes récentes. Le serveur est administré par nous.
• Amazon Web Services (Amazon Web Services EMEA SARL, Luxembourg), sous-traitant : stocke les images de la bibliothèque, les images que vous téléversez et notre archive de sauvegardes, dans sa région de Paris. AWS s’engage à ne pas déplacer ces données hors de cette région, sauf lorsque cela est nécessaire pour fournir le service ou pour respecter la loi. Si la société d’AWS aux États-Unis a besoin d’y accéder, cet accès est couvert par le Data Privacy Framework (Amazon Web Services, Inc. est couverte par la certification d’Amazon.com, Inc.) et par les clauses contractuelles types figurant dans l’avenant relatif au traitement des données d’AWS (data processing addendum).
• Cloudflare (Cloudflare, Inc., États-Unis), pour deux choses :
  • la vérification anti-robot de nos formulaires d’inscription, de connexion, de réinitialisation du mot de passe et de la liste des membres fondateurs. Votre navigateur charge la vérification de Cloudflare, qui examine des informations techniques sur votre navigateur (notamment votre adresse IP et la description de votre navigateur) ; notre serveur envoie ensuite le résultat à Cloudflare avec votre adresse IP pour le faire confirmer. Cloudflare est notre sous-traitant pour l’exécution de la vérification, et un responsable du traitement distinct pour les données qu’il utilise afin d’améliorer sa détection des robots ;
  • notre serveur de téléchargement de modèles (section 5) : les fichiers sont stockés dans un espace de stockage Cloudflare limité à l’Union européenne, et Cloudflare les distribue, en tant que notre sous-traitant. Nous n’avons pas activé de journaux de téléchargement : nous ne recevons donc aucune trace de qui a téléchargé quoi.
  Durée : Cloudflare ne publie pas de durée fixe. En tant que notre sous-traitant, il ne conserve les données que le temps nécessaire pour fournir ces services, conformément à son avenant relatif au traitement des données ; pour l’amélioration de sa détection des robots, selon sa propre politique de confidentialité et son avenant de confidentialité relatif à Turnstile. Transfert : Data Privacy Framework (Cloudflare, Inc. est certifiée), avec les clauses contractuelles types comme solution de repli.
• Connexion avec Google (Google Ireland Limited pour les utilisateurs en Europe), responsable du traitement distinct, uniquement si vous choisissez « Continue with Google » : Google confirme votre identité et nous communique votre nom, votre adresse e-mail et votre photo de profil. Google gère votre compte Google et la connexion elle-même selon ses propres conditions et sa propre politique de confidentialité, que vous avez acceptées auprès de Google ; nous ne décidons pas de la manière dont Google traite ces données, et nous ne recevons que ce qui est indiqué à la section 3. Nous considérons donc Google, pour la connexion, comme un responsable du traitement distinct. Transfert effectué par Google : Data Privacy Framework (Google LLC et ses filiales américaines détenues à 100 % sont certifiées).
• Google Cloud Vision (Google Cloud France SARL, France), sous-traitant : propose des descriptions pour les photos de la bibliothèque que nous importons nous-mêmes ; ce service ne reçoit jamais les images que vous téléversez. Transfert : l’avenant de Google relatif au traitement des données dans le cloud (cloud data processing addendum), qui repose sur le Data Privacy Framework (Google LLC et ses filiales américaines détenues à 100 % sont certifiées) et sur les clauses contractuelles types.

Prestataires que nous utiliserons à l’ouverture des formules payantes

• Polar (Polar Software, Inc., États-Unis) vous vendra les abonnements en tant que vendeur officiel (merchant of record) : c’est Polar, et non nous, qui est le vendeur. Son rôle dépend de l’activité concernée, et pas seulement des qualifications retenues dans ses contrats :
  • lorsqu’il traite, sur nos instructions, les informations de compte que nous lui transmettons (votre numéro de compte et votre adresse e-mail, afin qu’un achat soit rattaché à votre compte), il agit en tant que notre sous-traitant ;
  • pour le passage de commande et la gestion de votre achat en tant que vendeur, pour la conformité en matière de paiement et de fiscalité, ainsi que pour la sécurité de son propre service et ses obligations légales, il détermine lui-même les finalités et les moyens et est un responsable du traitement distinct, selon sa propre politique de confidentialité.
  Vos données de carte bancaire sont transmises à Polar et à ses prestataires de paiement, jamais à nous. Transfert : clauses contractuelles types, comme le prévoient l’accord de traitement des données (data processing agreement) et la politique de confidentialité de Polar (Polar n’est pas certifiée au titre du Data Privacy Framework).

Un service auquel vous choisissez de vous connecter

Ce service reçoit des données directement depuis votre ordinateur, uniquement lorsque vous l’utilisez ; nous ne lui envoyons pas de données depuis nos serveurs. Comme l’application établit cette connexion à votre demande, la section 5 indique précisément ce qu’il reçoit. Il est un responsable du traitement distinct pour ce qu’il fait des données une fois reçues, selon sa propre politique de confidentialité :

• Anthropic (pour les utilisateurs en Europe, Anthropic Ireland, Limited), lorsque vous utilisez une session Claude dans l’application avec votre propre compte Anthropic. Nous restons responsables de ce que l’application met à disposition et envoie, comme l’explique la section 5. Anthropic n’est pas certifiée au titre du Data Privacy Framework ; elle indique s’appuyer sur les clauses contractuelles types (section 5).

L’application ne vous connecte ni à Hugging Face ni à GitHub : les modèles d’IA proviennent de notre propre serveur de téléchargement (section 5). Si vous ouvrez la page de licence d’un modèle, votre navigateur visite ce site comme toute page que vous choisissez de consulter.

Nous n’envoyons pas encore d’e-mails. Avant de le faire, nous désignerons le prestataire d’envoi d’e-mails dans une nouvelle version de cette politique.

9. Combien de temps nous conservons les données

Suppression de votre compte

La suppression se déroule en trois étapes, chacune avec son propre délai :

1. Nos services, dans un délai d’un mois. Lorsque vous nous demandez de supprimer votre compte, nous supprimons les données personnelles qui y sont liées dans tous nos services dans un délai d’un mois à compter de votre demande, à l’exception des éléments indiqués ci-dessous. Si vous fermez plutôt votre compte de bibliothèque depuis sa propre page de compte, le compte est fermé à la fin de toute période que vous avez déjà payée, puis les contenus que vous avez téléversés sont conservés pendant 90 jours au cas où vous changeriez d’avis ; ils sont ensuite supprimés. Lors de la fermeture, vous pouvez choisir de les faire supprimer immédiatement, ou nous le demander.
2. Fichiers stockés, dans un délai supplémentaire de 35 jours. Les fichiers de vos images privées sont effacés du stockage, y compris les copies antérieures que le stockage conserve, dans les 35 jours qui suivent leur suppression.
3. Sauvegardes, au plus tard 120 jours après la suppression. Les copies contenues dans les sauvegardes disparaissent à mesure que ces sauvegardes expirent. Les sauvegardes ne servent qu’à la reprise après un incident, jamais de stockage ordinaire, et nous seuls y avons accès. Nous tenons un registre des suppressions que nous effectuons ; si nous restaurons un jour une sauvegarde, nous appliquons de nouveau chaque suppression de ce registre avant la réouverture du service, afin que les données supprimées ne réapparaissent pas.

Nous conservons un enregistrement de chaque demande de suppression, pendant 5 ans, comme preuve de son traitement et pour assurer notre défense en cas de réclamation la concernant (notre intérêt légitime). Il ne contient qu’une référence, la date à laquelle nous avons reçu la demande, la manière dont nous avons vérifié qu’elle venait de vous (mais aucune pièce d’identité), et la date d’achèvement de chaque étape. Jusqu’à ce que vos données aient quitté nos sauvegardes (au plus 120 jours), il contient aussi l’adresse e-mail de votre compte, afin que nous puissions appliquer de nouveau la suppression si nous restaurons un jour une sauvegarde. Nous ne conservons pas notre correspondance relative à la demande une fois celle-ci menée à terme.

Ce qui est conservé après la suppression :

• Une empreinte pseudonyme de l’adresse e-mail, avec les dates des essais gratuits utilisés, conservée dans un seul but : empêcher un nouveau compte ayant la même adresse de commencer un second essai gratuit. Elle reste une donnée personnelle. Nous ne la conservons que tant que nous proposons des essais gratuits, et nous supprimons ces empreintes lorsque nous cessons de le faire. Vous pouvez vous y opposer ; nous la supprimerons alors, sauf si la prévention des essais gratuits répétés prévaut sur vos intérêts dans votre situation particulière.
• Les enregistrements d’acceptation des conditions d’utilisation et de confirmation de lecture de cette politique, pendant 5 ans (tableau ci-dessus).
• L’enregistrement de votre demande de suppression, pendant 5 ans (ci-dessus).
• Les enregistrements que la loi nous impose de conserver, comme nos enregistrements comptables des ventes.

10. Vos droits

Vous pouvez nous demander :

• une copie de vos données (droit d’accès) ;
• de recevoir les données que vous nous avez fournies dans un format structuré et réutilisable, ou de les faire transmettre à un autre service (droit à la portabilité). Ce droit s’applique aux données traitées de manière automatisée sur la base de votre consentement ou de notre contrat ;
• de les corriger (droit de rectification) ou de les supprimer (droit d’effacement) ;
• de limiter ce que nous en faisons pendant qu’une question est en cours de règlement (droit à la limitation) ;
• de vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime (droit d’opposition) ;
• de respecter les directives que vous nous laissez relatives au sort de vos données après votre décès.

Lorsque nous nous fondons sur votre consentement, vous pouvez le retirer à tout moment, aussi facilement que vous l’avez donné. Ce retrait ne remet pas en cause ce que nous avons fait sur la base de votre consentement avant que vous ne le retiriez.

Décisions automatisées. Nous ne prenons à votre égard aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Quelques règles automatiques refusent une action pour protéger les services : les limites de tentatives répétées, la vérification anti-robot, et la règle d’un seul essai gratuit par adresse e-mail. Vous pouvez demander qu’une personne réexamine tout refus de ce type.

Pour exercer vos droits, écrivez à support@paintingpuffin.com, si possible depuis l’adresse associée à votre compte. Nous répondons dans un délai d’un mois. Dans les cas complexes, ou si nous recevons de nombreuses demandes, nous pouvons prolonger ce délai de deux mois supplémentaires ; si c’est le cas, nous vous en informerons dans le premier mois, en indiquant pourquoi.

Vous avez également le droit d’introduire une réclamation auprès de la CNIL (cnil.fr), l’autorité française de protection des données, ou, le cas échéant, auprès d’une autre autorité de contrôle compétente en matière de protection des données dans l’Union européenne, si vous estimez que nous n’avons pas respecté vos droits.

11. Sécurité

Tous nos services sont accessibles par des connexions chiffrées. Les mots de passe ne sont stockés que sous forme de hachages bcrypt. Lorsque nous n’avons pas besoin d’une adresse e-mail ou d’une adresse IP d’origine, nous n’en conservons qu’une empreinte pseudonyme (section 6). Dans l’application de bureau, le secret qui relie votre ordinateur à votre compte est stocké chiffré par votre système d’exploitation.

12. Enfants

Nos services ne sont pas destinés aux enfants de moins de 15 ans, et nous ne collectons pas sciemment leurs données. Nous ne vérifions pas l’âge des utilisateurs. Si vous pensez qu’un enfant de moins de 15 ans nous a communiqué des données personnelles, écrivez-nous et nous les supprimerons.

13. Modifications de cette politique

Chaque version de cette politique conserve sa propre page, et son texte ne change jamais une fois publié. Lorsque nous publions une nouvelle version, nos services vous la présentent lors de votre prochaine connexion et vous demandent de confirmer qu’elle vous a été présentée et que vous l’avez lue ; la liste des membres fondateurs enregistre la version à laquelle chaque personne a donné son accord. Lorsqu’une modification nécessite votre consentement, par exemple une nouvelle utilisation de vos données fondée sur le consentement, nous vous demandons ce consentement séparément et rien ne change pour vous tant que vous ne l’avez pas donné.

14. Langues

Cette politique est publiée en français et en anglais, avec le même contenu et la même date. Si les deux versions diffèrent, la version française prévaut.